securityscan

SecurityScan MCP

让你的 AI Agent 能够保护自身环境——只需一份 MCP 配置，即可使用八种工具。

审计 MCP 配置是否遭到投毒，在内容发送给大模型前对机密信息和个人身份信息进行脱敏，审查不可信技能，监控依赖项健康状况，并主动扫描网络。所有功能只需在 Agent 的 MCP 配置中添加一个 securitystack 条目即可使用。

这是客户端：统一的 MCP 服务，由 AI Agent（Claude CLI/Desktop 或任何兼容 MCP 的 Agent）安装，用于调用 SecurityScan 托管服务。后端服务由我们托管——你无需自行运行。配置 API 密钥后，Agent 即可获得八种工具——六种安全工具和两种销售工具。

为什么需要它

AI Agent 有四种可能遭到入侵的途径。SecurityScan 涵盖全部四种：

1. What it INSTALLS   → poisoned skills / MCP configs     → scan_skill + audit_mcp_server_config
2. What it DEPENDS ON → a dependency goes down/rogue        → check_dependencies
3. Where it's EXPOSED → open ports, default creds           → network_scan (with AI agent loop)
4. What it SENDS OUT  → secrets/PII leak into the LLM       → scan_secrets

其中两个——audit_mcp_server_config 和 scan_secrets——可离线运行，且在进程内执行，无需 API 密钥。安装服务后即可立即使用。其他四个工具会调用托管服务（配置相应密钥即可启用；未设置密钥时会自动跳过）。

安装

1. 安装服务

pip install securityscan-mcp

就是这样——该软件包已发布到 PyPI。

2. 添加到 Agent

对于 Claude Desktop / CLI（claude_desktop_config.json 或 ~/.claude.json）：

{
  "mcpServers": {
    "securityscan": {
      "command": "python",
      "args": ["-m", "stack.unified_mcp_server"],
      "env": {
        "ACTIVESCANNER_API_KEY": "ask_live_...",
        "DEPSCAN_API_KEY": "dsk_live_...",
        "SECURITYSCAN_API_KEY": "ss_live_...",
        "SECRETSCAN_API_KEY": "ssc_..."
      }
    }
  }
}

三个离线工具（audit_mcp_server_config、scan_secrets、securitystack_pricing）无需密钥，安装后即可使用。 设置密钥后，相应的四个托管服务工具便会启用；只需设置你要使用的工具对应的密钥。

获取免费 API 密钥（无需信用卡）：

curl -X POST https://scan.apisecurityscan.net/v1/register -d '{}'

查看 docs/QUICKSTART.md，只需 2 分钟即可完成设置。

3. 验证

claude mcp list
# securitystack ... Connected

然后向 Agent 询问：“审计我的 MCP 配置，检查是否存在安全风险” 或 “发送这段提示词前，先扫描其中是否包含机密信息：……”

八种工具

工具	功能	是否需要密钥？
audit_mcp_server_config	审计 MCP 配置，检查工具投毒、凭据泄露、供应链风险及危险的能力组合（OWASP MCP Top 10）。	不需要——离线运行
scan_secrets	检测并脱敏内容中的机密信息（API 密钥、令牌、私钥）和个人身份信息（电子邮件、电话号码、SSN、信用卡、IBAN），防止其在发送给大模型/API 前泄露。在进程内离线运行，无需密钥；设置密钥后则会将请求发送到后端。	不需要——离线运行
scan_skill	在安装不可信 AI 技能前，分析其中是否存在提示词注入、恶意软件模式及 OWASP LLM Top 10 风险。	SECURITYSCAN_API_KEY
check_dependencies	检查 Agent 所依赖端点的健康状况（运行时间、SSL、黑名单、信任评分）。	DEPSCAN_API_KEY
network_scan	使用能够分析扫描结果的自主 AI Agent，对设备/主机进行主动安全扫描。必须设置 authorized: true——只能扫描你拥有的目标。	ACTIVESCANNER_API_KEY
full_stack_audit	将上述所有检查结果关联起来，生成一份按优先级排序的报告。	各工具对应的密钥
securitystack_pricing	提供套餐/价格/配额目录及其背后的基准测试证据，供 Agent 评估或向用户推荐购买方案。	不需要——离线运行
securitystack_checkout	面向 Agent 的购买功能：为指定套餐打开 Stripe 结账页面，并返回付款 URL 以及一个会在付款后自动启用的 PENDING API 密钥。	不需要——公开端点

授权与合法性

network_scan 会执行主动扫描。你必须设置 authorized: true，以确认你拥有目标或已获得扫描许可。未经授权的扫描可能违反《计算机欺诈和滥用法案》（CFAA，美国）、《计算机滥用法》（英国）及类似法律。请参阅服务条款。

许可证

Apache-2.0。请参阅 LICENSE。